オプトアウト届出事業者、つまり本人の同意を得ずに個人データを第三者提供している名簿事業者等に関係します。一般の個人情報取扱事業者が名簿を「受け取る側」であっても、確認された提供先として扱われる場面が生じうるため、無関係とは言い切れません。何が新しく義務付けられるのか、対象がどこまでかを分けて書きます。
1. 現行のオプトアウト制度との違い
現行法上、個人情報取扱事業者は原則として、あらかじめ本人の同意を得ないで個人データを第三者に提供してはなりません。ただし、次の2つを満たせば、本人の同意なく第三者提供ができます（オプトアウト届出制度、法第27条第2項）。1つ目は、本人の求めに応じて提供を停止することとし、事業者の名称・住所や求めの受付方法等をあらかじめ本人に通知等しておくことです。2つ目は、その内容を個人情報保護委員会に届け出ることです。
一次資料は、この制度が抱える問題として「闇名簿」問題を挙げています。オプトアウト届出事業者である名簿屋が、法に違反するような行為に及ぶ者へ名簿を転売する悪質な名簿屋に、名簿を提供する事案が発生しているとされます。その結果、オプトアウト制度に基づいて提供された個人データが「闇名簿」作成の情報源の一つになっている、というのが現状認識です。提供元が提供先の利用目的等をあらかじめ確認することが有用と考えられる一方、現行法にはこの確認義務がありません。
2. 提供先の確認義務・過料・例外の内容
(1) 提供先の確認義務を新設
改正では、オプトアウト制度に基づく第三者提供を行う際、あらかじめ当該第三者（提供先）の身元（氏名または名称、住所、代表者氏名）及び利用目的を確認しなければならないこととされます（法第27条第7項柱書、新設）。
(2) 虚偽申告の禁止と過料
確認に係る事項を偽ってはならないこととされ、違反時には過料の対象となります。名簿屋自身だけでなく、確認に対して身元・利用目的を偽って回答する提供先側にも責任が生じる建て付けです。なお、この改正の背景にある名簿の転売事案は、勧告・命令等の実効性確保で緊急命令の要件を緩和する際の想定例としても挙げられています。
(3) 例外
当該個人データを取得した時点で、本人・国の機関・地方公共団体等によって公開されていたものである場合等は、確認義務の例外とされます（法第27条第7項ただし書）。
3. いつから
この規律は本体部分に含まれ、「公布の日から起算して2年を超えない範囲内において政令で定める日」から施行されます。実際の施行日は政令で指定されます。決定タイムラインで追記していきます。
4. 自社が該当するかを考える順序
- 自社がオプトアウト届出を行い、本人同意なく個人データを第三者提供しているかを確認する。該当しなければこの規律の直接の義務者ではない。
- オプトアウト届出事業者に該当する場合、現在の第三者提供の運用で提供先の身元・利用目的を記録・確認する手順があるかを点検する。
- 逆に、他社からオプトアウト制度に基づいて個人データの提供を受けている場合は、提供元から身元・利用目的の確認を求められる場面が増える可能性があるため、正確な回答ができる体制かを確認する。
- 委員会規則で確認方法・例外事由の細目が示された段階で、自社の手順が要件を満たすかを再点検する。
迷惑行為をした客の記録を他の店舗や事業者と共有する仕組みを、オプトアウトの届出で作る場合の整理は、業種別の入口の要注意顧客・出入り禁止客の対応記録の節にあります。
提供前の手順を順に並べた流れ図（届出・確認・記録）
オプトアウト届出事業者が提供する場面の順序です。「決まっている」は法律本文と委員会資料で示された内容、「案」「未確定」は規則が出るまで変わりうる内容です。
- STEP 1
届出（現行から続く手順・決まっている）: 本人の求めに応じて提供を停止することとし、名称・住所や求めの受付方法等を本人に通知等したうえで、個人情報保護委員会に届け出る（法第27条第2項）。
- STEP 2
例外に当たるかの確認（一部未確定）: 取得した時点で、本人・国の機関・地方公共団体等によって公開されていた場合等は確認義務の例外（同条第7項ただし書）。公開主体の範囲とこれに準じる例外事由は委員会規則待ち。
- STEP 3
提供先の確認（義務は決まっている・方法は未確定）: 提供の前に、提供先の氏名または名称、住所、代表者氏名と、利用目的を確認する（同項柱書、新設）。確認方法は委員会規則待ちで、事務局案は身元を本人確認書類の検証等、利用目的を提供先の申告で確認するというもの。
- STEP 4
提供先の回答（決まっている）: 確認に係る事項を偽ってはならず、違反時は過料の対象。
- STEP 5
記録（案・2026-10-14時点）: 事務局案は、記録事項に確認した担当者、確認の年月日と時刻、確認の方法を加えるというもの。規則の条文は出ていません。
図の根拠は第2節・第5節と出典に挙げた資料です（確認日 2026-10-14）。自社の手順が要件を満たすかの判断は、顧問弁護士または個人情報保護委員会にご確認ください。
たとえばこういう場面（仮想の事業者を仮定した確認の例）
以下は、実在しない事業者を仮定した例です。確認義務に違反するかどうかの結論は示しません。
仮定: オプトアウトの届出をしている名簿会社X社が、販促用の名簿をY社に提供する。Y社は、X社の提供する名簿を受け取る側である。
| 立場 | この例で見ること | 資料で示されていること |
|---|---|---|
| X社（提供元） | 提供の前に、Y社の氏名または名称、住所、代表者氏名と、利用目的を確認する手順があるか | あらかじめ確認することが義務付けられる（法第27条第7項柱書）。確認方法は委員会規則待ち |
| Y社（提供先） | X社から確認を求められたとき、身元と利用目的を正確に回答できるか | 確認に係る事項を偽ってはならず、違反時は過料の対象 |
| 名簿の元の入手経路 | X社が名簿を取得した時点で、その情報が本人・国の機関・地方公共団体等によって公開されていたか | 公開されていた場合等は確認義務の例外（同項ただし書）。公開主体の範囲は委員会規則待ち |
この例から言えるのは、提供元は確認の記録を残す手順、提供先は正確に答える体制が、それぞれ見直しの対象になるということです。個別の判断は、顧問弁護士または個人情報保護委員会にご確認ください（確認日 2026-10-09。根拠は上の第2節と出典に挙げた資料）。
名簿を第三者に提供する事業者向け: 提供する側・受ける側の確認点（現行と改正）
現行条文は2026-10-19にe-Govで確認しました。改正後の欄は委員会の資料の記載で、確認方法の細目は委員会規則待ちです。
| 立場 | 現行で確認する点 | 改正で加わる点 | 未確定のこと |
|---|---|---|---|
| 提供する側（オプトアウト届出事業者） | 提供を停止する仕組みと、名称・住所・受付方法等の通知等と委員会への届出（第27条第2項）。提供したときの記録の作成と保存（第29条）。要配慮個人情報、不正に取得したもの、他の事業者からオプトアウトで提供を受けたものは、この方法で提供できない（第27条第2項ただし書）。 | 提供の前に、提供先の氏名または名称、住所、代表者氏名と、利用目的を確認する（第27条第7項柱書、新設）。公開されていた個人データなど、例外に当たるかも確認する。 | 確認の方法、例外となる公開主体の範囲（委員会規則）。記録事項に何を加えるか（事務局案の段階）。 |
| 受ける側（名簿を受け取る事業者） | 提供を受けるときに、提供元の氏名または名称・住所・代表者氏名と、提供元による取得の経緯を確認し、記録を作る（第30条第1項・第3項）。確認に係る事項を偽ってはならない（同条第2項）。 | 提供元から、自社の身元と利用目的を確認される場面が生じる。確認に係る事項を偽ることは、過料の対象とされる。 | 提供元が求める確認の方法が書面か申告かなど（委員会規則）。施行日（政令で指定）。 |
取引の場面ごとの確認点（名簿販売・リード提供・グループ内共有）
次の表は、よくある取引の形ごとに、オプトアウトの確認義務がかかりうるかを考える入口を並べたものです。取引の実態や契約の定めによって結論は変わるため、個別の判断はしません。
| 取引の場面 | まず確認すること | オプトアウトの確認義務との関係 |
|---|---|---|
| 名簿の販売 | 本人の同意なく第三者へ提供しているか。第27条第2項の届出をしているか。名簿に要配慮個人情報や、他社からオプトアウトで受けたものが含まれていないか。 | オプトアウトの届出に基づいて提供する場合は、改正後は提供の前に提供先の身元と利用目的の確認が必要になる（第27条第7項柱書）。確認方法は規則待ち。 |
| 問い合わせ・資料請求などのリード（見込み客情報）の提供 | 提供の前に、本人から第三者提供についての同意を取得しているか。同意を取っていれば、オプトアウトによる提供ではない。 | 同意に基づく提供は、確認義務の直接の対象ではない（本人同意で提供する場合）。同意の取り方や範囲は、取得時の画面や文言で確認する。 |
| グループ会社内での共有 | 共同利用（第27条第5項第3号）の要件を満たすか。共同して利用する旨、項目、利用者の範囲、利用目的、管理責任者を本人に通知等しているか。 | 共同利用は第三者に該当しない扱いで、オプトアウトとは別の仕組み。オプトアウトで提供しているときだけ、確認義務が問題になる。 |
| 名簿を受け取って営業に使う | 提供元の身元と取得の経緯を確認し、記録しているか（第30条）。受け取った名簿に、他社からオプトアウトで提供されたものが含まれていないか。 | 受ける側として、提供元から身元と利用目的を確認される場面が増える。偽らずに答えられる体制かが論点。 |
名簿の売買を事業にしている場合は、提供元・提供先のどちらの立場でも、取引の都度の記録が見直しの対象になります。表の判断に迷う場合は、顧問弁護士または個人情報保護委員会にご確認ください。
5. 決まっていることと未確定のこと
| 項目 | 資料で示されていること | 未確定のこと |
|---|---|---|
| 提供先の確認義務 | 提供先の身元（氏名または名称、住所、代表者氏名）と利用目的を、あらかじめ確認すること（法第27条第7項柱書） | 提供先の名称・住所等の確認方法（委員会規則） |
| 虚偽申告の禁止 | 確認に係る事項を偽ってはならず、違反時は過料の対象となること | この表の範囲では、未確定として整理した点はありません |
| 確認義務の例外 | 取得した時点で、本人・国の機関・地方公共団体等によって公開されていた場合等は例外となること（同項ただし書） | 公開主体の範囲と、これに準じる例外事由（委員会規則） |
国会の附帯決議には、オプトアウトの届出事業者への監視・監督を徹底し、闇名簿への流用など重大な違反が分かったときは緊急命令などを行うよう求める項目（第十一項）があります。衆参の文言は附帯決議14項目の対照表で比べられます。決議は規則の中身を決めるものではありません。
よくある質問
オプトアウトの届出をしていない事業者にも、提供先の確認義務はかかりますか。
確認義務は、オプトアウト制度に基づく第三者提供を行うときの義務です。届出をせず、本人の同意を得て提供している場合は、この規律の直接の対象ではありません。ただし、他社からオプトアウト制度に基づいて提供を受ける側になる場合は、提供元から身元・利用目的の確認を求められる場面が生じえます。
提供先が確認に対して虚偽の回答をした場合はどうなりますか。
確認に係る事項を偽ってはならないこととされ、違反時には過料の対象となります。提供する名簿事業者だけでなく、身元や利用目的を偽って答える提供先側にも責任が生じる建て付けです。
確認の方法（書面か宣誓書か等）は決まっていますか。
決まっていません。政令・規則等で定める事項の全体像によると、提供先の名称・住所等の確認方法は委員会規則で定められる予定で、まだ公布されていません。
いつから義務になりますか。
本体部分に含まれ、公布の日から起算して2年を超えない範囲内で政令で定める日から施行されます。実際の施行日は、政令で指定されるまで確定しません。
提供先の確認義務は、名簿事業者だけが対象ですか。
業種名だけで対象を限定する規律ではありません。法第27条第2項のオプトアウト制度に基づいて個人データを第三者提供する個人情報取扱事業者が、提供前の確認義務を負います。自社の提供が同項に当たるかは、顧問弁護士または個人情報保護委員会にご確認ください。
インターネットで公開されていた個人データなら、すべて確認義務の例外になりますか。
すべてではありません。改正法は、取得した時点で、その個人データの全部が本人、国の機関、地方公共団体その他の定められた主体によって公開されていた場合などを例外としています。公開主体の範囲と、これに準じる例外事由は委員会規則が公布されるまで未確定です。
出典
- S-21個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（PDF） 第3の2「オプトアウト制度に関する規律」（確認日 2026-09-05）
- S-21個人情報保護委員会事務局「政令・規則等で定める事項の全体像」（PDF）（確認日 2026-09-05）
- S-26個人情報の保護に関する法律等の一部を改正する法律（令和8年法律第56号）本文（PDF） 第27条第7項（確認日 2026-09-05）
- S-111個人情報保護委員会事務局「政令・規則の整備に向けた基本的な考え方について③」（PDF・2026年10月14日、第372回委員会）（確認日 2026-10-14）
- S-02個人情報保護委員会「令和8年改正個人情報保護法」（確認日 2026-09-04）